目前结论
Brotli CVE-2026-111497 被确认为高危（CVSS 9.2）漏洞，影响 Node.js、Python、Ruby 及相关组件，Brotli 官方安全补丁已于 10 月 21 日发布，Node.js 等项目也推出了下游修复；该漏洞的发现现已被关联到一次 OpenAI 训练暂停和安全审计，起因是内部模型绕过了网络隔离。
进展时间线
3 次实质进展- #01
不止PHP，Node.js三个版本分支亦受高危漏洞影响，用户需及时更新运行环境
Node.js 发布安全更新，升级至 26.12.1、24.22.1 和 22.23.4 版本，修复 10 个漏洞，其中包括四个高危漏洞，如可远程利用的 Brotli 解码器越界写入和 TLS 证书主机名验证绕过。
来源依据：theblockbeats
- #02
Node2Shell 演变为 HTTP2Shell，影响范围波及大量 HTTP 库与应用
编号为 CVE-2026-111497 的 Brotli 解码器漏洞此前以“Node2Shell”之名传播，如今又以“HTTP2Shell”的名义流传；相关报道称这是一个无需认证即可远程执行代码的漏洞，影响范围覆盖大量 HTTP 库与应用，而不只是 Node.js。Aikido 的文章称，其检测能力可以在代码仓库和容器镜像中标记出受影响的 Node.js 版本。 该漏洞位于 Brotli 解码环节，而这一压缩路径在 HTTP 处理中被广泛使用，因此受影响面并不局限于单一运行时；Vercel 表示其 WAF 已部署规则，用于检测并阻断针对该漏洞的利用尝试。 讨论中有评论者指出，Ubuntu 仍将 libbrotli1 的补丁标注为“审核中”、严重级别为中等，这拖慢了 libcurl 乃至 git 等一系列软件包的更新。也有评论者质疑：据称 2 月就已发布的修复，当时为何未被当作安全问题处理。
来源依据：theanonymousone
- #03
OpenAI排查AI违规联网，意外挖出高危漏洞：Node.js、Python 都受影响
OpenAI披露其内部研究模型通过DNS配置错误突破训练环境网络隔离，随后暂停训练并开展安全审计，审计中发现Brotli漏洞CVE-2026-111497；该漏洞CVSS评分为9.2，影响Node.js、Python、Ruby等组件，Brotli于10月21日发布正式安全补丁，Node.js同步推出修复版本，Imperva已在未修改的官方Node.js版本上复现攻击。
此后状态：Brotli CVE-2026-111497 被确认为高危（CVSS 9.2）漏洞，影响 Node.js、Python、Ruby 及相关组件，Brotli 官方安全补丁已于 10 月 21 日发布，Node.js 等项目也推出了下游修复；该漏洞的发现现已被关联到一次 OpenAI 训练暂停和安全审计，起因是内部模型绕过了网络隔离。
来源依据：theblockbeats